Cómo gestiona GetMyHotels la privacidad, los pagos y la regulación de viajes

RGPD y UK GDPR

UE / Reino Unido / Suiza

El Reglamento (UE) 2016/679 y el UK GDPR regulan cómo tratamos los datos personales de los usuarios del EEE, el Reino Unido y Suiza. Nuestras bases legales, plazos de conservación, mecanismos de transferencia (SCC + decisiones de adecuación cuando existen) y tus derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición están documentados en la política de privacidad.

• Consentimiento granular en el registro + banner de cookies persistente
• Autoservicio de acceso / portabilidad / supresión para el interesado
• Evaluación de impacto relativa a la protección de datos en cada nueva actividad de tratamiento
• Inventario de subencargados con cláusulas SCC para todas las transferencias

CCPA / CPRA y leyes estatales de privacidad

California, Colorado, Virginia, Texas, Florida + otros 16 estados de EE. UU.

Respetamos la exclusión voluntaria de la venta y la compartición para publicidad dirigida, tratamos la cabecera del Global Privacy Control (Sec-GPC: 1) como una exclusión implícita y ofrecemos mecanismos de acceso y supresión conformes con la CCPA a todos los residentes de California — ampliados a todos los usuarios de EE. UU. por paridad.

• Exclusión voluntaria en /privacy-choices (sin necesidad de iniciar sesión)
• Señal Sec-GPC del navegador respetada en el servidor
• Tratamiento de información sensible limitado a lo que cada reserva exige estrictamente
• Plazo de respuesta de 45 días a las solicitudes verificables

Digital Personal Data Protection Act (DPDPA)

India

Las DPDPA Rules 2025 de la India se notificaron en noviembre de 2025; hoy tratamos la ley como vinculante para todos los usuarios residentes en la India. Las obligaciones sustantivas (responsable de reclamaciones, SLA de notificación de brechas, integración con el Consent Manager) entran en vigor en noviembre de 2026 + mayo de 2027.

• El registro de consentimiento recoge cada otorgamiento + retirada con marca de tiempo + versión de la política
• Vía de consentimiento parental verificable para los usuarios identificados como menores en la India
• Avisos de privacidad en hindi + lenguas regionales
• Hitos monitorizados en nuestra hoja de ruta interna de DPDPA

LGPD

Brasil

La Lei Geral de Proteção de Dados (Ley 13.709/2018) se aplica a los usuarios brasileños. Nuestro registro de privacidad, el proceso de notificación de brechas y los derechos de los interesados se ajustan a la base del RGPD — los requisitos de la LGPD son un subconjunto.

• Aviso de privacidad en portugués (locale pt-BR)
• Flujo de notificación de brechas alineado con la ANPD
• Registro de bases legales siempre actualizado

Regla de la FTC sobre comisiones basura

Estados Unidos (FTC)

El 16 CFR Part 464 ('Trade Regulation Rule on Unfair or Deceptive Fees'), en vigor desde el 12 de mayo de 2025, se aplica al alojamiento de corta estancia. Mostramos el precio total más cualquier comisión obligatoria en el punto más temprano del recorrido de búsqueda en el que el proveedor nos las haya devuelto; cuando no lo ha hecho, mostramos una advertencia inequívoca de '+ impuestos y tasas' junto a la tarifa principal.

• Precio por noche todo incluido en las tarjetas de hotel cuando el proveedor lo devuelve
• Advertencia adyacente de '+ impuestos y tasas' cuando aún no se conoce
• Desglose detallado completo en el pago y en la confirmación de la reserva

14 CFR 399.84 del DOT de EE. UU. y Reglamento (UE) 261/2004

Reguladores de viajes

Las tarjetas de resultados de vuelos destacan la tarifa total (impuestos y tasas gubernamentales incluidos), conforme a la norma de publicidad de tarifa completa del DOT. Para los vuelos que salen del EEE, el Reino Unido o Suiza mostramos un aviso de derechos del pasajero que enlaza con la guía de la Comisión Europea sobre el EU 261.

• Tarifa total (no la tarifa base) destacada en cada tarjeta de vuelo
• Enlace a los derechos del EU 261 en el punto de venta para las salidas incluidas en su ámbito
• Políticas de cancelación + reembolso mostradas antes del pago

PCI DSS

Pagos

Nunca vemos números de tarjeta en claro. Stripe gestiona todos los pagos bajo su certificación PCI DSS Level 1. Nuestra integración usa elementos de pago alojados + referencias tokenizadas, de modo que nos situamos en el ámbito PCI más bajo (SAQ-A).

• Solo pagos tokenizados con Stripe
• Ningún dato de tarjeta en los registros de la aplicación, las bases de datos ni las copias de seguridad
• TLS 1.2+ obligatorio en todas las superficies de pago

Políticas de las plataformas móviles

App Store / Play Store

La app móvil de GetMyHotels incluye un manifiesto de privacidad (PrivacyInfo.xcprivacy de Apple), apunta a Android API 36 antes del plazo de Play del 31 de agosto de 2026 y permite eliminar la cuenta desde la propia app (requisito de Apple 5.1.1(v) / URL de eliminación de cuenta de Play).

• Inicio de sesión con Apple junto a Google (Apple 4.8)
• Eliminación de la cuenta desde la app + en /account/delete en la web
• Opción de denunciar contenido de usuarios en los mensajes del chat (Apple 1.2)
• El manifiesto de privacidad declara el uso de API de motivo obligatorio + los dominios de rastreo

Objetivo WCAG 2.2 AA

Accesibilidad

Nuestro sistema de diseño aspira al nivel AA de WCAG 2.2 en web y móvil. Las pantallas nuevas se revisan antes de fusionarse en contraste de color, navegación por teclado, estructura semántica, estados de foco y etiquetado para lectores de pantalla. Las pantallas existentes se corrigen de forma progresiva.

• HTML semántico + etiquetas ARIA en cada superficie interactiva
• Contraste de color verificado con los tokens de diseño
• Navegación por teclado probada en cada versión
• Etiquetas de VoiceOver y TalkBack en móvil